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TI Safety control and monitoring module e.g. for CNC machines and industrial 
robots - has disconnection unit connected via a control release line and 
two-channel emergency switch-off interface to machine drive. 

PI . DE 4432759 Al 19960321 (199617)* 9p F16P003-00 < — 

AB DE 4432759 A UPAB : 19960428 

The adaptive safety module monitors and controls safety-related machine 
parameters and operating stakes consisting of a 3-channel switching unit 
(8), a number of 3 channel monitoring units (9, 10) where the switching 
unit is connected by a regulator release line (RFG) and a 2-channel 
emergency output interface (NA1, NA2 , NA3 , NA4) with the machine drive (3) 
and via line (2Bus) to the monitor units (9, 10) . 

Normally two drivers (4, 5 or 6,7) are used for each movement step, 
independently via lines (GA11, GA12 or GA21, GA22) of the monitor units 
(9, 10) . The monitor units (9, 10) are connected to the machine control A 
start button (13) starts the safety module, and an end button shuts down 
everything . 

USE - Safety mechanism for computerised numerical control (CNC) 
machine tools and industrial robots . 
Dwg.1/3 
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© Variabler Sicherheitsmodu! zur Oberwachung und Steuerung sicherheitsreJevanter Maschinenparamter und 
Betnebszustande K 

(§) Aufgabe der Erfindung ist ein variabler Sicherheitsmodu!, 
der fQr Personen keine Gefahr entstehen leBt, im FehlerfalJ 
moglichen Sachschaden minimiert und sowohl ein© Ober- 
wachung von Bewegungsvorgangen als auch der den Ma- 
schinenraum abgrenzenden Schutzeinrichtungen, insbeson- 
dere SchutztGren, Lichtvorhange, FuGkontaktmatten u. a. 
ermoglicht, wobei beim Auftreten gefahriicher Zustande 
eine der Zustandsart angepaBte Steuerung der Maschine 
erfolgt. 

ErflndungsgemaB wird die Aufgabe durch einen Sicherbeits- 
modul, insbesondere bestehend aus einer dreikanaligen 
Abschalteinheit, dreikanaligen Oberwachungseinheiten, ei- 
nem zweikanaligen Not-Aus-lnterface-Krels, Gebern fur je- 
den zu Oberwachenden Bewegungsvorgang, einem Start-Ta- 
ster zum Start des Sicherheitsmoduls. einem Ende-Taster 
zum unbedlngten Abschalten, einem extemen Not-Aus-Ta- 
ster und einem Gefahrenzonenmelder, der der Abschaltein- 
heit den aktueiien Sicherungszustand der Gefahrenzone 
m elder 

Die Erfindung betrifft insbesondere einen Sicherheitsmodul 
zur Oberwachung und Steuerung von mehrachsigen rotato- 
rische und trans la torische Bewegungen ausfuhrenden Ma- 
schinen. 




Die folgenden Angaben sind den vom Anmelder elngereichten Unterfagen entnommen 
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Die Erfindung betrifft einen variablen Sicherheitsmo- 
dui zur Oberwachung und Steuerung sicherheitsrele- 
vanter Maschinenparameter und Betriebszustande ins- 
besondere einen Sicherheitsmodul zur Oberwachung 
und Steuerung von mehrachsigen rotatorische und 
translatorische Bewegungen ausfuhrenden Maschinert 

Komplexe prozeBgesteuerte CNC-Anlagen sowie In- 
dustrieroboter stellen besondere Anforderungen an die 
Arbeitssicherheit Insbesondere fur den Schutz von Per- 
sonen gelten hohe Anforderungen. 

Neben der direkten Oberwachung der Aniage uber 
die Maschinensteuerung sind Oberwachungseinrichtun- 
gen zur zweikanaligen Oberwachung von Kriech- und 
Drehbewegungen einer Maschinenachse auf limitierte 
Drehzahlwerte in den Betriebsarten 
Stillstandsuberwachung, 
manueller/Einrichtbetrieb, 
Automatikbetrieb 

in Form separater Gerate bekannt, wobei bei Ober- 
schreitung der jeweils zulassigen Grenzwerte mit der 
durch die entsprechenden Richtlinien geforderten Si- 
cherheit ein Stillsetzen der Maschine durch Abschalten 
der Antriebsenergie erfolgt. Die Erfassung des Bewe- 
gungszustandes geschieht dabei uber Rechteckimpuls- 
folgen von Gebern, die den Bewegungszustand der An- 
iage eindeutig beschreiben. Zusatzliche Einrichtungen 
uberwachen dabei den Gefahrenbereich der Maschine, 
insbesondere den Zustand der Schutzturen des Bearbei- 
tungsraumes (Schutzturwachter). Moderne Bearbei- 
tungszentren erfordern jedoch die Oberwachung von 
mehr als einer Maschinenachse. 

Es sind bereits Vorrichtungen zur Sicherheitsuberwa- 
chung bei Schutzeinrichtungen mit normaler und uber- 
hohter Sicherheit von mehrachsigen Drehbewegungen 
ausfuhrenden Maschinen bekannt (EP-A1 0465710, DE- 
Al 38 37 218). Sie arbeiten mit Abschaltschutzen im 
Stromversorgungsbereich der Maschine sowie einem 
externen Oberwachungskreis fur Schutzhauben, Kon- 
takt- und manueller Zustimmung fur limitierte Drehbe- 
wegungen und bestehen aus einem Grundgerat mit ei- 
ner Stromversorgungseinheit sowie einer Kontrollein- 
heit in jeweils getrennten Teilgehausen, wobei zwischsn 
beiden eine Steckkontaktanordnung, die auftrennbar ist, 
vorhanden ist und der Zwischenanreihung weiterer Er- 
ganzungsuberwachungseinheiten dient Jede Oberwa- 
chungseinheit uberwacht bestimmte Achskreise der 
Zielanlage und sendet ihre Ausgangssignale parallel auf 
durchgehende uber die jeweiligen Steckkontaktmittel. 
gefuhrte Querverbindungsleitungen zur Stromversor- 
gungseinheit Diese steuert uber ein Ausgangsrelais die 
im Leistungsteil der Zielanlage angeordneten Abschalt- 
schutze an. Das Gerat verfugt uber drei verschiedene 
Funktionsarten, die uber den entsprechenden Betriebs- 
zustand der Zielanlage am Gerat angewahlt werden, 
wobei die Stellung der Schutzturhaube als steuernde 
GroBe dient Die 2fache elektronische unabhangige 
Auswertung des angewahlten Betriebszustandes und 
die durch zwei unterschiedliche Encoder erzeugten Si- 
gnale der Drehbewegung ermoglichen dabei einen stan- 
digen internen Funktionstest. 

Nachteile dieser Vorrichtung sind, daB zur Auswahl 
der Betriebsart eine Schutzeinrichtung der Maschine 
benutzt wird, d. h. die Maschinenregelung wird in die 
Oberwachung nicht mit eingeschlossen. Damit ist die 
Vorrichtung eine reine Oberwachungsvorrichtung fur 
Drehbewegungen, wobei diese auf ausschiieBlich feste 



Grenzwerte uberwacht werden. Eine nexible Anpas- 
sung an unterschiedliche Bearbeitungsprozesse,die eine 
Anderung des Drehzahlgrenzwertes wahrend des Pro- 
zesses erfordern, ist nicht moglich. Nachteilig ist weiter- 
5 hin, daB durch die Verwendung der Schutzeinrichtung 
als steuerndes Element fur die Betriebsart die Oberwa- 
chungszustande "Stillstandsuberwachung" und "Still- 
standsuberwachung als Sonderbetrieb" an die geoffnete 
Gefahrenzone geknupft sind. AuBerdem wird im Feh- 
io lerfall nur die Antriebsenergie abgeschaltet, eine gleich- 
zeitige Abbremsung der Antriebselemente erfolgt nicht 
In den Patentschriften DE-C1 41 06 009 und EP- 
A2 0501218 wird eine Schaltungsanordnung einer Tur- 
oder Schutzhaubenverriegelungssteuerung fur eine 
15 Schutzeinrichtung mit normaler und uberhohter Sicher- 
heit bei insbesondere Drehbewegungen durchfuhren- 
den Maschinen (Zielanlage) mit Abschaltschutzen im 
Stromversorgungsbereich der Zielanlage, mindestens 
einem Turkontaktkreis und einem von einer Bedienper- 
20 son manuell betatigbaren Zustimmkontaktkreis sowie 
ferner mit Drehbewegungssignaien auswertenden MeB- 
systemen fur jede Achse, dadurch gekennzeichnet, daB 
zur Embeziehung einer redundanten Drehbewegungs- 
Signalauswertung auch fur die Tursteuerung, in die ein 
25 Verriegelungsmechanismus integriert ist, dessen Posi- 
tion unter Verzicht auf eigene Drehbewegungssensorik 
von mindestens einem, der eine jeweilige Achse auf 
Drehbewegung uberwachenden MeBsystem bestimmt 
ist,vorgesteiJt 

30 Moderne Bearbeitungszentren erfordern aber in zu- 
nehmendem MaBe nicht nur die Oberwachung drehen- 
der Maschinenteile, sondern die Oberwachung der ge- 
samten im ArbeitsprozeB auftretenden Bewegungen 
der Maschine sowie die Einhaltung der in den jeweiligen 
35 Betriebsmodi geltenden Sicherheitsbedingungen fur 
den gesamten Maschinenraum. 

Aufgabe der Erfindung ist es, einen variablen Sicher- 
heitsmodul zu schaffen, der entsprechend den gesetzli- 
chen Anforderungen fur Personen keine Gefahr entste- 
40 hen laBt, im Fehlerfall moglichen Sachschaden mini- 
miert und sowohl eine Oberwachung von Bewegungs- 
vorgangen als auch der den Maschinenraum abgrenzen- 
den Schutzeinrichtungen, insbesondere Schutzturen, 
Lichtvorhange, FuBkontaktmatten u. a. ermdglicht, wo- 
45 bei beim Auftreten gefahrlicher Zustande eine der Zu- 
standsart angepaBte Steuerung der Maschine erfolgt 

ErfindungsgemaB wird diese Aufgabe durch einen va- 
riablen Sicherheitsmodul zur Oberwachung und Steue- 
rung sicherheitsrelevanter Maschinenparameter und 
50 Betriebszustande mit den Merkmalen des Anspruchs 1 
gelost Weitere Merkmale der Erfindung sind in den 
Unteransprtichen dargestellt 

Der Vorteil der Erfindung besteht in der Kombina- 
tion der Oberwachung von rotatorischen und translato- 
55 rischen Bewegungsvorgangen einer Maschine mit der 
Oberwachung der den Maschinenraum abgrenzenden 
Schutzeinrichtungen, insbesondere Schutzturen, Licht- 
vorhange, FuBkontaktmatten u. a. Die Oberwachungs- 
parameter, die alle Grenzwerte enthalten, sind einstell- 
60 bar, sie konnen wahlweise aus innerhalb der Oberwa- 
chungseinheiten angeordneten Festwertspeichern, den 
Oberwachungsparameterspeichern, abgerufen oder 
uber eine serielle Schnittstelle von der Steuerung flexi- 
bel eingelesen werden. Dies ist insbesondere fur solche 
65 Einsatzfalle von Interesse, wo mit werkzeugabhangig 
wechselnden Drehzahlen gearbeitet wird oder sich ein 
variabler Bewegungsgrenzwert durch den Einsatz von - 
Schaltgetrieben ergibt Die vorgeschlagene Erfindung 
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gestattet durch ein modulares Konzept die Oberwa- 
chung aller sicherheitsrelevanten GrdBen der zu uber- 
wachenden Anlage. Sie ist in der Lage, gemafi der aktu- 
ellen Maschinenkonfiguration eine unterschiedliche 
Zahl von Achsen und Schutzeinrichtungen zu uberwa- ; 
chen. Im Gefahrenfall erfolgt ein schnellstmogliches si- 
cheres Stillsetzen der Anlage durch Abschalten der An- 
triebsenergie und gleichzeitiges Abbremsen der Bewe- 
gung durch Sperrung der Regierfreigabe oder durch 
Nullsetzung des Sollwertes. Weitere Vorteile sind im j C 
Ausfuhrungsbeispiel aufgezeigt 

Die Erfindung wird nachfolgend anhand eines in einer 
Zeichnung in vereinfachter Weise dargestellten Ausftih- 
rungsbeispiels naher erlautert. Dabei zeigen: 

Fig. 1 das Blockschaltbild eines SicherheitsmoduJs in 15 
Verbindung mit der zu uberwachenden Aniage bzw. 
Maschine, 

Fig. 2 das Blockschaltbild einer Abschalteinheit und 
Fig. 3 das Blockschaltbild einer Oberwachungsein- 
heit * 20 

In Fig. 1 ist das Blockschaltbild einer zu uberwachen- 
den Anlage bzw. Maschine mit Maschinensteuerung 
und erfindungsgemaBem Sicherheitsmodul dargestellt 
Von der Anlage bzw. Maschine sind ein Gefahrenzo- 
nenmelder, z. B. ein TQrkontakt 1, ein Betriebsarten- 2 5 
wahlschalter 2, ein Maschinenantrieb 3 und sowohl ein 
erster Ge.ber 4 und ein zweiter Geber 5 einer ersten 
Achse als auch ein dritter Geber 6 und ein vierter Geber 
7 einer zweiten Achse dargestellt. 

Der Sicherheitsmodul ist modular aufgebaut und 30 
kann sowohl als Stand-alone-Gerat als auch in Form 
von Einzelkomponenten im Schaltschrank betrieben 
werden. Er besteht aus einer dreikanaligen Abschaltein- 
heit 8 und aus einer — der Anzahi der zu uberwachen- 
den Bewegungsvorgange entsprechenden — Anzahi 3; 
dreikanaliger Oberwachungseinheiten, wobei jeweils 
ein Kanal der Abschalteinheit 8 mit dem entsprechen- 
den Kanal aller Oberwachungseinheiten verkniipft ist 
und alle wesentlichen Oberwachungsfunktionen durch 
anwenderspezifische integrierte Schaltkreise, ASIC's, 4c 
reaiisiert sind sowie einem Netzteil 1 1 zur maschinenun- 
abhjingigen Spannungsversorgung. Anstelle der ASIC's 
sind aber auch andere Baugruppen, beispielsweise Pro- 
zessoren, einsetzbar. . 

In diesem Beispiel sind vier Geber 4 bis 7 zweier 45 
Achsen dargestellt, weshalb im Ausfuhrungsbeispiel al- 
so eine erste Oberwachungseinheit 9 fur den ersten und 
zweiten Geber 4 und 5 der ersten Achse und eine zweite 
Oberwachungseinheit 10 fur den dritten und vierten Ge- 
ber 6. und 7 der zweiten Achse angeordnet sind. Jeder 50 
Achse sind also zwei Geber zugeordnet, die unabhangig 
voneinander uber die Leitungen GA11/GA12 oder 
GA21/GA22 mit der ihnen zugeordneten Oberwa- 
chungseinheit verbunden sind. 

Die Maschinensteuerung 12 ist uber einen bidirektio- 55 
nalen Bus Status/Fehler mit der Abschalteinheit 8, der 
ersten Oberwachungseinheit 9 und der zweiten Ober- 
wachungseinheit 10 verbunden. Die Obergabe der 
Oberwachungsparameter erfolgt aber die Leitung 
Oberwachungsparameter von der Steuerung 12 zur er- 6 o 
sten Oberwachungseinheit 9 und zur zweiten Oberwa- 
chungseinheit 10. 

Die Abschalteinheit 8 ist uber eine Reglerfreigabelei- 
tung RFG und einen zweikanaligen Not-Aus-Interface- 
Kreis NA1, NA2, NA3 und NA4 mit dem Maschinenan- 
trieb 3 verbunden und uber die Leitungen ZBUS mit 
den Oberwachungseinheiten 9 und 10. Ein Bus zur 
Obertragung der Signale P (Pi, P2 und P3) verbindetdie 
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Abschalteinheit 8 mit der zweiten Oberwachungseinheit 
10, die wiederum uber Leitungen zur Obertragung der 
Signale AB und SSM mit der ersten Oberwachungsein- 
heit 9 verbunden ist Die Signale AB und SSM werden 
von der ersten Oberwachungseinheit 9 weiter an die 
Abschalteinheit 8 gegeben. 

Zum Start des Sicherheitsmoduls ist ein Start-Taster 
13 und zum unbedingten Abschalten ein Ende-Taster 14 
vorhanden, die mit der Abschalteinheit 8 verbunden 
sind. Weiterhin kann der Abschaltbefehl durch einen 
externen Not-Aus-Taster 32 ausgeldst werden, der 
ebenfalls mit der Abschalteinheit 8 verbunden ist. 

Fig. 2 zeigt die dreikanalige Abschalteinheit 8. Das 
Emgangsinterface 15 der Abschalteinheit 8 erhalt alle 
Signale, die fur den Betriebszustand und den Zustand 
der Sicherheitseinrichtungen des Maschinenraumes 
maBgeblich sind. Im Ausfuhrungsbeispiel sind das: 

— Betriebsartenwahlschaltersignaie Bl ... B6 (Bl, 
B2 - manueller Betrieb, B3, B4 - Stillstand, B5, B6 

— Automatik) 

— Start-Signal SI, S2 

— Ende-SignalEl,E2 

— externes NOT-AUS-Signal 

— TurpositionssignaleTl,T2 

— Zustandssignal der Turverriegelung TZU. 

Diese Signale werden alien anwenderspezifischen in- 
tegrierten Schaltkreisen, den Abschalt- ASIC's 16, 17, 18, 
zugefuhrt 

Alle drei Abschalt-ASIC's 16/17, 18 ubertragen den 
aktuellen Oberwachungsstatus und Fehlerinformatio- 
nen in ein gemeinsarnes erstes Status- Fehlerregister 19. 
Zusatzlich generiert jeder Abschalt- ASIC 16, 17, 18 
Reglerfreigabesignale RFG1, RFG2 und RFG3, die 
uber ein UND-Glied 20 zu einem gemeinsamen Signal 
RFG verknupft sind.. Abschaltbefehle AS1, AS2 und 
AS3 der Abschalt-ASIC's 16, 17, 18 schalten jeweils eins 
von drei in einem Not-Aus-Interface-Kreis der Maschi- 
ne befindlichen zwangsgefuhrten Relais 21, 22, 23. 

Die Abschalteinheit 8 ubemimmt also folgende Funk- 
tionen: 

— Festlegung des Oberwachungszustandes der 
Maschine aus der Stellung des Betriebsartenwahl- 
schalters 2 sowie Weiterleitung dieses Oberwa- 
chungsmodus an alle angeschlossenen Oberwa- 
chungseinheiten 9 und 10 uber den ZBUS-Vektor, 
.— Oberwachung aller statischen Meidesignale 
uber den Zustand des Maschinenraumes, 

— Erzeugung der dynamischen Signale PI, P2, P3 
fur die zweite Oberwachungseinheit 10 und Aus- 
wertung der dynamischen Signale SSM1, SSM2, 
SSM3 und AB1, AB2, AB3, 

— Abschalten der Antriebsenergie der Anlage 
bzw. Maschine uber Offnung der Relaiskontakte 
Kl bis K6 der Relais 21, 22 und 23 sowie Erzeugung 
des Signals RFG zur Sperrung der Regierfreigabe 
im Fehlerfall, 

— Speicherung aller Betriebs- und Fehlerzustande 
im ersten von auBen abrufbaren Status-Fehlerregi- 
ster 19. 

Fig. 3 zeigt eine der dreikanaligen Oberwachungsein- 
heiten 9 bzw. 10. Das Eingangsinterface 24, z. B. das der 
Oberwachungseinheit 9 (10), ist mit den beiden Aus- 
gangsleitungen GA1 1 und GA12 (GA21 und GA22) der 
Geber 4 und 5 (6 und 7) zur Oberwachung der ersten 
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(zweiten) Achse verbunden. Die Ausgangssignale GA1 1 
und GA12 (GA21 und GA22) der Geber 4 und 5 (6 und 
7) werden jedem anwenderspezifischen integrierten 
Schaltkreis der betreffenden Oberwachungseinheit 9 
(10), den Oberwachungs-ASIC's 25, 26, 27 zugefuhrt 5 
Alle drei Oberwachungs-ASIC's 25, 26, 27 sind mit ei- 
nem zweiten Status-Fehlerregister 28 und jeweils mit 
einem Oberwachungsparameterspeicher 29, 30, 31 ver- 
bunden. 

Die Oberwachungseinheiten 9 bzw. 10 besitzen fol- H 
gende Aufgaben: 

— Obernahme der fur den jeweiligen Betriebsmo- 
dus maximal zulassigen Bewegungsgrenzwerte aus 
den auf der Oberwachungseinheit 9 bzw. 10 ange- 15 
ordneten Oberwachungsparameterspeichern 29, 
30, 31 oder wahlweise uber eine serielle Schnittstel- 
le von der Maschinensteuerung 12, 

— Auswertung der Bewegungsinformation der an- 
geschlossenen Geber 4, 5 bzw. 6, 7, wobei diese mit 20 
getrennten Spannungsquellen versorgt werden, 

— Setzen der von der Abschalteinheit 8 kommen- 
den und durch die Oberwachungseinheiten 9 bzw. 
10 zur Abschalteinheit 8 ruckgefiihrten dynami- 
schen Signale auf einen statischen Wert zur Detek- 25 
tierung von Fehlerzustanden, hervorgerufen durch 
die Oberschreitung der jeweils maximal zulassigen 
Grenzwerte der einzeinen Betriebsmodi der Anla- 
ge bzw. Maschine, 

— Konsistenzprufung der Gebersignale GA11, 30 
GA12, GA21, GA22 sowie Erkennung nicht ange- 
schlossener oder defekter Geber auch im Stillstand, 

— Speicherung aller Betriebs- und Fehlerzustande 
im von auBen abrufbaren zweiten Status-Fehlerre- 
gister 28. y 

Im folgenden soil die Funktionen des Sicherheitsmo- 
duls erklart werden. 

Der Start des Sicherheitsmoduls erfolgt iiber die Be- 
tangung des Start-Tasters 13, ein unbedingtes Abschal- 4C 
ten des Sicherheitsmoduls und damit der Maschinenan- 
triebsenergie uber den Ende-Taster 14. 

Beim Einschalten des Sicherheitsmoduls werden nach 
erfolgtem Selbsttest uber die Signale AS 1 , AS2, AS3 die 
Relaiskontakte Kl bis K6 der zwangsgefiihrten Relais 45 
21, 22 und 23 im Not-Aus-Interface-Kreis der Maschine 
geschlossen und damit die Maschine ans Netz geschal- 
tet 

Die Abschalteinheit 8 wertet den Zustand des Be- 
triebsartenwahlschalters 2 aus und teilt uber den drei- 50 
steliigen ZBUS-Vektor den aktuellen Oberwachungs- 
modus den angeschlossenen Oberwachungseinheiten 9 
und 10 mit Gleichzeitig werden die dynamischen Signa- 
le PI, P2, P3 in jeweils einen Oberwachungskanai der 
Oberwachungseinheit 10 eingespeist Bei fehlerfreiem 55 
Betrieb gelangen diese Signale als Stillstandsmeldesi- 
gnal SSM und Abschaltsignal AB uber die zweite zwi- 
schengeschaltete Oberwachungseinheit 9 unverandert 
zur Abschalteinheit 8 zuruck. Bei Bewegung einer Ach- 
se wird das Signal SSM jedes Kanals durch die Oberwa- 6 o 
chungseinheit der betreffenden Achse auf einen stati- 
schen Wert gesetzt, bei Oberschreitung des im ange- 
wahlten Betriebszustand maximal zulassigen Bewe- 
gungsgrenzwertes werden die Signale AB1, AB2, AB3 
jedes Kanals durch die Oberwachungseinheit der Achse, 65 
bei der die Drehzahluberschreitung auftrat, auf einen 
statischen Wert gesetzt. Bei Erfuilung einer Fehlerbe- 
dingung schaltet die Abschalteinheit 8 die Maschine 
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energiefrei und sperrt die Reglerfreigabe des Maschi- 
nenantriebs 12. Ein Wiederanlauf ist nur durch einen 
neuen Start-Befehi nach Beseitigung der Fehlerursache 
moglich, die uber das Status-Fehlerregister 19 von au- 
Ben abgefragt werden kann. 

Die Abschalteinheit 8 uberpnift auBerdem den Zu- 
stand der Schutzturen des Maschinenraumes. Tritt hier 
ein im angewahiten Betriebsmodus unzulSssiger Wert 
der Turpositionssignale Tl und T2 oder des Verriege- 
lungsmeldesignals TZU auf, erfolgt ebenfalls ein Ab- 
schalten. 

Dabei gelten fur die Signale der Maschinenraumsi- 
cherung folgende Bedingungen: 

— Stillstandsuberwachung und manueller Betrieb:. 
Schutzturen konnen beliebigen Zustand aufweisen, 

— Automatikbetrieb: 

Schutzturen miissen geschlossen und verriegelt 
sein. 

Ein Abschaltbefehl .kann zusatzlich durch Betatigen 
des externen Not- Aus-Tasters 32 oder des Ende-Tasters 
14 ausgelost werden. 

Die Oberwachungseinheiten 9 und 10 erhalten neben. 
den bereits genannten ZBUS- und dynamischen Signa- 
len PI, P2, P3 von der Abschalteinheit 8 uber ihr Ein* 
gangsinterface 24 die Drehzahlvektoren GA11, GA12 
(Achse 1) bzw. GA21, GA22 (Achse 2) der angeschlosse- 
nen Geber. 

Mit dem Start-Befehl werden alle fur die jeweiligen: 
Betriebsmodi gultigen Grenzwerte von den Obertra- 
gungsparameterspeichern 29, 30, 31 bzw. von der Ma-, 
schinensteuerung 12 uber die serielle Schnittstelle in die 
internen Register der Oberwachungs- ASIC's 25, 26, 27 
eingeschrieben und wahrend des Betriebes zykli'sch 
uberpruft. Gleichzeitig wird getestet, ob beide Geber 4 
und 5 (Achse 1) bzw. 6 und 7 (Achse 2) angeschlossen 
sind und korrekte Eingangssignale anliegen. 

Bereits das Auftreten eines unerlaubten Zustandes in 
einem Kanal einer der Oberwachungseinheiten 9 oder 
10 ist ausreichend, um uber das Abschaltsignal einen; 
Abschaltbefehl in der Abschalteinheit 8 auszulosen.: 

Im Gegensatz zu den im Stand der Technik beschrie- 
benen Losungen, die den eigentlich zu uberwachenden. 
Schutzturzustand der Maschine als steuernde GrdBe 
verwenden, wird beim vorgeschlagenen Sicherheitsmo- 
dul gemaB den Forderungen der einschlagigen DIN- ; 
Vorschriften und Prufgrundsatze der Berufsgenossen- 
schaften der Betnebsartenwahlschalter der Anlage als 
steuernde GroBe genutzt. Dabei sind zu unterscheiden: 

— Stillstand (Stillstand aller bewegten Teile zwin- 
gend vorgeschrieben, Maschinenraum zuganglich), 

— manueller/Einrichtbetrieb (Bewegungen mit si- 
cher reduzierter Geschwindigkeit, Maschinenraum 
zuganglich), 

— Automatikbetrieb (Bewegungen mit bis zu maxi- 
mal zulassiger Geschwindigkeit, Maschinenraum 
gesperrt). 

In alien Betriebsarten wird der Zustand aller Siche- 
rungseinrichtungen des Maschinenraumes und der Be- 
wegungszustand der Achsen uberwachL Sowohl bei 
Oberschreiten der in den Betriebsmodi jeweils maximal 
zulassigen Bewegungswerte als auch bei Verletzung des 
Sollzustandes der Sicherheitseinrichtungen erfolgt ein 
schnellstmogliches Stillsetzen der Maschine uber Ab- 
schalten der Antriebsenergie. 
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Eine alleinige Abschaltung uber den NOT-AUS- 
Kreis, wie sie herkommliche Drehzahluberwachungsge- 
rate aufweisen, bringt bei vielen Anwendungen nur eine 
unzureichende Einschrankung der Fehlerauswirkung, 
da auf diese Weise ledigJich ein energieloses Auslaufen 5 
der Antriebe bewirkt wird. 

Durch zusatziiches Sperren der Reglerfreigabe oder 
definiertes Nullsetzen des Sollwertes ergeben sich eine 
wesentiich verringerte Stillsetzzeit und ein verkleiner- 
ter Stillsetzweg. Eine Zeitverzdgerung zwischen Beginn 10 
der elektrischen Bremsung und Abschaltung der Ener- 
giezufuhr kann durch die Zwischenschaltung eines Zeit- 
gliedes realisiert werden und damit bei noch korrekt 
arbeitenden Antrieben ein Abschalten der gesamten 
Energie der Anlage oder Maschine entfallen. In alien 15 
Fallen wird ein selbsttatiges Wiedereinschalten der 
Energie soiange verhindert, bis der Fehler beseitigt ist 
und die Vorrichtung uber einen Neustart wieder in Be- 
triebgesetzt wird. 

Die Erfassung der EingangsgroSen fur die Oberwa- 20 
chungseinrichtung geschieht zweikanalig, d. h. es sind 
jeweils zwei voneinander unabhangige Kontaktsatze 
fur den Zustand der Schutzeinrichtungen bzw. Geber 
fur die Bewegungsinformation vorhanden. Fur die Er- 
fassung der Bewegungsinformation kommen sowohl die 25 
AusgangsgrdBen von Drehgebern als auch jede physi- 
kalische GroBe, die die Bewegungsinformation eindeu- 
tig abbildet, in Frage. 

Zur Gewahrleistung der in den entsprechenden Vor- 
schriften geforderten sicheren Stillsetzung der Maschi- 30 
ne im Gefahrenfall erfolgt die Auswertung der den Ma- 
schinenzustand beschreibenden Signale in drei vonein- 
ander unabhangigen Kanalen. Die Abschaltung der An- 
triebsenergie geschieht uber die drei voneinander unab- 
hangigen zwangsgefuhrten Relais 21, 22, 23 im Not-Aus- 35 
Interface-Kxeis der Maschine. Alle von der Abschaltein- 
heit 8 erzeugten und uber die verbundenen Oberwa- 
chungseinheiten 9 und 10 zu ihr ruckgefOhrten Signale 
sind dynamisch und werden im Fehlerfall der Anlage auf 
einen statischen Wert gesetzt, so daB Unterbrechungen 40 
und Kurzschlusse in den Verbindungsleitungen und den 
integrierten Bauelementen sicher erkannt werden. 

Ober eine serieile Schnittstelle in der Abschalteinheit 
8 ist die Abfrage des aktuellen Oberwachungszustandes 
bzw. im Fehlerfall die Erkennung der Fehlerursache 45 
oder die Ursache des Abschaltens durch die Abschalt- 
einheit 8 rnoglich. 

Durch intern implementierte Selbsttests und die fur 
ASIC's typische erhohte Zuverlassigkeit wird dabei den 
erh6hten Sicherheitsforderungen an den Sicherheitsmo- 50 
dul in besonderem Mafle Rechnung getragen und eine 
st&ndige Eigenuberwachung der Vorrichtung gewahr- 
leistet, so daB ein interner Fehler, der die Oberwa- 
chungsfunktion beeintrachtigt, ebenfalls zum Stillsetzen 
der Maschine fGhrt Der Sicherheitsmodul enthalt wei- 55 
terhin eine unabhangige Betriebsspannungsversorgung 
sowie eine interne Schaltungsanordnung, dfe die Funk- 
tion herkdmmlicher Not-Aus-Schaltgerate Qbernehmen 
kann. Alle Funktionsgruppen sind uber eine gemeinsa- 
me Ruckverdrahtung miteinander verbunden. 60 

Patentanspruche 

1. Variabler Sicherheitsmodul zur Oberwachung 
und Steuerung sicherheitsrelevanter Maschinenpa- 65 
rameter und Betriebszustande bestehend aus 

a) einer dreikanaligen Abschalteinheit (8), 

b) einer — der Anzahl der zu uberwachenden 



Bewegungsvorgange entsprechenden — An- 
zahl dreikanaliger Oberwachungseinheiten (9, 
10), wobei die Abschalteinheit (8) uber eine 
Reglerfreigabeleitung (RFG) und einen zweik- 
analigen Not-Aus-Interface-Kreis (NA1, NA2, 
NA3 und NA4) mit dem Maschinenantrieb (3) 
und uber die Leitungen ZBUS mit den Ober- 
wachungseinheiten (9 und 10) verbunden ist, 

c) jeweils zwei Gebern (4, 5 bzw. 6, 7) fur jeden 
zu uberwachenden Bewegungsvorgang , die 
unabhangig voneinander uber Leitungen 
(GA 1 1, GA12 bzw. GA21, GA22) mit der ihnen 
zugeordneten Uberwachungseinheit (9 bzw. 
10) verbunden sind, 

d) einer Verbindung zur Maschinensteuerung 
(12), die sowohl aus einem bidirektionalen Bus 
(Status/Fehler) zur Abschalteinheit (8) und zur 
ersten und zweiten Oberwachungseinheit (9 
und 10) als auch aus einer Leitung (Obertra- 
gungsparameter) zur ersten und zweiten 
Oberwachungseinheit (9 und 10) besteht, 

e) einem Start-Taster (13) zum Start des Si- 
cherheitsmoduls, einem Ende-Taster (14) zum 
unbedingten Abschalten und einem externen 
Not-Aus-Taster (32), die alle mit der Abschalt- 
einheit (8) verbunden sind, 

0 einem Bus zur Obertragung des dynami- 
schen Signalvektors (P), der die Abschaltein- 
heit (8) mit der zweiten Oberwachungseinheit 
(10) verbindet, die wiederum iiber Leitungen 
zur Obertragung dynamischer Signale (AB 
und SSM) mit der ersten Oberwachungsein- 
heit (9) verbunden ist, wobei diese Signalvek- 
toren (AB und SSM) von der ersten Oberwa- 
chungseinheit (9) weiter an die Abschalteinheit 
(8) gegeben werden, 

g) einer Verbindung zu einem Betriebsarten- 
wahlschalter (2), der uber Signale (Bl bis B6) 
der Abschalteinheit (8) die Betriebsart meldet 
und 

h) einer Verbindung zu einem Gefahrenzonen- 
melder, der uber Signale (Tl, T2,' TZU) der 
Abschalteinheit (8) den aktuellen Sicherungs- 
zustand der Gefahrenzone meldet. 

2. Sicherheitsmodul nach Anspruch 1, dadurch ge- 
kennzeichnet, daB die dreikanalige Abschalteinheit 
(8) und die fur jeden zu uberwachenden Bewe- 
gungsvorgang dreikanaligen Oberwachungseinhei- 
ten (9 oder 10) iiber eine Rilckverdrahtung elek- 
trisch miteinander verbunden sind, wobei jeweils 
ein Kanal von Abschalteinheit (8) und jeder Ober- 
wachungseinheit (9 oder 10) miteinander verknupft 
sind, und daB eine unabhangige Stromversorgungs- 
einheit und eine interne Schaltungsanordnung, die 
die Funktion herkdmmlicher Not-Aus-Schaltgerate 
ubernehmen kann, vorgesehen ist 

3. Sicherheitsmodul nach Anspruch 1 oder 2, da- 
durch gekennzeichnet, daB er als Stand-alone-Ge- 
rat ausgefuhrt ist, wobei die einzelnen Einheiten 
uber eine gemeinsame Ruckverdrahtung miteinan- 
der verbunden sind. 

4. Sicherheitsmodul nach Anspruch 1 oder 2, da- 
durch gekennzeichnet, daB er in Form von Einzel- 
komponenten im Schaltschrank ausgefuhrt ist, wo- 
bei die einzelnen Einheiten iiber eine gemeinsame 
Ruckverdrahtung miteinander verbunden sind. 

5. Sicherheitsmodul nach Anspruch I, 2, 3 oder 4, 
dadurch gekennzeichnet, daB in der Abschaltein- 
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heit (8) eine serielle Schnittstelle zur Abfrage des 
aktuellen Oberwachungszustandes bzw. im Fehler- 
fall zur Erkennung der Fehlerursache vorgesehen 
ist. 

6. Sicherheitsmodul nach mindestens einem der An- 5 
spriiche 1 bis 5, dadurch gekennzeichnet, daQ alle 
wesentlichen Oberwachungsfunktionen durch 
ASIC's realisiert werden. 
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